Manchmal möchte man einem Virusprogrammierer ins Gesicht schauen und fragen: Warum? Die Frage nach dem «Wie» können wir selbst beantworten, aber es wäre sehr interessant zu erfahren, was den einen oder anderen Schöpfer von Malware bewegt hat, besonders wenn wir auf solche «Perlen» stoßen.
Der Held unseres heutigen Artikels ist ein interessanter Typ eines Verschlüsselers. Offensichtlich wurde er als weiterer «Erpresser» konzipiert, doch seine technische Umsetzung wirkt eher wie ein böswilliger Scherz. Genau über diese Umsetzung werden wir heute sprechen.
Leider ist es fast unmöglich, den Lebenszyklus dieses Encoders nachzuvollziehen – es gibt einfach zu wenig Statistiken darüber, da er glücklicherweise nicht weit verbreitet ist. Daher lassen wir Ursprung, Infektionsmethoden und andere Erwähnungen außen vor. Wir erzählen nur von unserem Erlebnis mit Wulfric Ransomware und davon, wie wir dem Nutzer geholfen haben, seine Dateien zu retten.
I. Wie alles begann
In unserem Antiviruslabor wenden sich häufig Menschen an uns, die von Ransomware betroffen sind. Wir bieten Hilfe an, unabhängig davon, welche Antivirusprodukte sie installiert haben. Diesmal hat sich jemand an uns gewandt, dessen Dateien von einem unbekannten Encoder betroffen sind.
Guten Tag! Auf meinem Dateispeicher (samba4) wurden Dateien ohne Passwortschutz verschlüsselt. Ich vermute, dass die Infektion vom Computer meiner Tochter (Windows 10 mit dem Standard-Schutz Windows Defender) ausgegangen ist. Der Computer meiner Tochter wurde seitdem nicht mehr eingeschaltet. Die Dateien sind hauptsächlich im .jpg- und .cr2-Format. Die Dateiendung nach der Verschlüsselung: .aef.
Wir haben vom Benutzer Beispiele der verschlüsselten Dateien, eine Lösegeldnotiz und eine Datei erhalten, die wahrscheinlich der Schlüssel ist, den der Autor der Ransomware benötigt, um die Dateien zu entschlüsseln.
Hier sind unsere Hinweise:
- 01c.aef (4481K)
- hacked.jpg (254K)
- hacked.txt (0K)
- 04c.aef (6540K)
- pass.key (0K)
Lassen Sie uns die Notiz ansehen. Wie viele Bitcoins sind es diesmal?
Übersetzung:
Achtung, Ihre Dateien sind verschlüsselt!
Das Passwort ist einzigartig für Ihren PC.Zahlen Sie 0,05 BTC an die Bitcoin-Adresse: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
Nach der Zahlung senden Sie mir bitte eine E-Mail und fügen Sie die Datei pass.key an Wulfric@gmx.com mit einer Benachrichtigung über die Zahlung bei.Nach der Bestätigung sende ich Ihnen den Entschlüsseler für die Dateien.
Sie können Bitcoins online auf verschiedene Weise bezahlen:
— Zahlung mit Kreditkarte
Über Bitcoins:
Wenn Sie Fragen haben, schreiben Sie mir an Wulfric@gmx.com
Als Bonus werde ich Ihnen erzählen, wie Ihr Computer gehackt wurde und wie Sie ihn in Zukunft schützen können.
Ein pathetischer Wolf, der die Ernsthaftigkeit der Situation dem Opfer vor Augen führen soll. Es könnte jedoch schlimmer sein.
Abb. 1. - Als Bonus werde ich Ihnen erzählen, wie Sie Ihren Computer in Zukunft schützen können. – Sieht legitim aus.
II. Lassen Sie uns beginnen
Zuerst haben wir uns die Struktur des gesendeten Beispiels angesehen. Seltsamerweise sah es nicht wie eine Datei aus, die von einem Ransomware-Virus betroffen war. Wir öffnen einen Hex-Editor und schauen nach. In den ersten 4 Bytes befindet sich die ursprüngliche Dateigröße, die nächsten 60 Bytes sind mit Nullen gefüllt. Aber das Interessanteste befindet sich am Ende:
Abb. 2 Wir analysieren die beschädigte Datei. Was fällt sofort ins Auge?
Es stellte sich als unangenehm einfach heraus: 0x40 Bytes aus dem Header wurden ans Ende der Datei verschoben. Um die Daten wiederherzustellen, reicht es aus, sie einfach zurück an den Anfang zu bringen. Der Zugriff auf die Datei wurde wiederhergestellt, aber der Name bleibt verschlüsselt, und damit wird es komplizierter.
Abb. 3. Der verschlüsselte Name in Base64 sieht aus wie eine willkürliche Ansammlung von Zeichen.
Lassen Sie uns analysieren pass.key, der vom Benutzer gesendet wurde. Darin sehen wir eine 162-Byte lange Folge von Zeichen im ASCII-Code.
Abb. 4. 162 Zeichen, die auf dem PC des Opfers hinterlassen wurden.
Wenn man genau hinsieht, kann man bemerken, dass sich die Zeichen in bestimmten Abständen wiederholen. Das könnte auf die Verwendung von XOR hindeuten, bei der Wiederholungen typisch sind, deren Häufigkeit von der Länge des Schlüssels abhängt. Durch das Aufteilen der Zeichenfolge in 6 Zeichen und das Anwenden von verschiedenen XOR-Folgen haben wir kein sinnvolles Ergebnis erzielt.
Abb. 5. Sehen Sie die sich wiederholenden Konstanten in der Mitte?
Wir haben beschlossen, die Konstanten zu googeln, denn ja, das ist auch möglich! Und letztendlich führen sie alle zu einem Algorithmus – Batch Encryption. Nach der Analyse des Skripts wurde klar, dass unsere Zeichenfolge nichts anderes ist als das Ergebnis seiner Ausführung. Es ist erwähnenswert, dass dies kein Verschlüsselungsalgorithmus ist, sondern lediglich ein Kodierer, der Zeichen durch 6-Byte-Sequenzen ersetzt. Keine Schlüssel oder andere Geheimnisse 🙁
Abb. 6. Ein Teil des Originalalgorithmus unbekannter Herkunft.
Der Algorithmus würde nicht funktionieren, wenn nicht eine Details:
Abb. 7. Morpheus genehmigt.
Durch Rücksubstitution wandeln wir die Zeichenfolge von pass.key in einen Text mit 27 Zeichen um. Besonders erwähnenswert ist der menschliche (höchstwahrscheinlich) Text ‘asmodat’.
Abb. 8. USGFDG=7.
Google hilft uns erneut. Nach einer kurzen Suche finden wir ein interessantes Projekt auf GitHub – Folder Locker, geschrieben in .Net und unter Verwendung der Bibliothek ‘asmodat’ von einem anderen Account auf GitHub.
Abb. 9. Benutzeroberfläche von Folder Locker. Wir haben es auf Malware überprüft.
Das Tool ist ein Verschlüsselungsprogramm für Windows 7 und höher, das unter einer Open-Source-Lizenz veröffentlicht wird. Es verwendet ein Passwort zur Verschlüsselung, das für die spätere Entschlüsselung benötigt wird. Es ermöglicht die Verarbeitung sowohl einzelner Dateien als auch ganzer Verzeichnisse.
Bibliothek verwendet den symmetrischen Rijndael-Verschlüsselungsalgorithmus im CBC-Modus. Bemerkenswert ist, dass die Blockgröße auf 256 Bit festgelegt wurde – im Gegensatz zum im AES-Standard verwendeten Wert von 128 Bit.
Unser Schlüssel wird nach dem PBKDF2-Standard generiert. Dabei ist das Passwort der SHA-256 Hash des im Tool eingegebenen Strings. Es bleibt nur, diesen String zu finden, um den Entschlüsselungsschlüssel zu bilden.
Nun zurück zu unserem bereits entschlüsselten pass.key. Erinnern Sie sich an den String mit den Ziffern und dem Text 'asmodat'? Versuchen wir, die ersten 20 Bytes des Strings als Passwort für Folder Locker zu verwenden.
Schau an, es funktioniert! Das Schlüsselwort passte, und alles wurde wunderbar entschlüsselt. Judging by the password symbols, this is a HEX representation of a specific word in ASCII. Versuchen wir, das Schlüsselwort in Textform darzustellen. Wir erhalten 'shadowwolf'. Fühlen Sie schon die Symptome der Lykanthropie?
Schauen wir uns noch einmal die Struktur der betroffenen Datei an, jetzt da wir die Funktionsweise des Lockers kennen:
- 02 00 00 00 – Modus zur Verschlüsselung der Namen;
- 58 00 00 00 – Länge des verschlüsselten und in Base64 kodierten Dateinamens;
- 40 00 00 00 – Größe des übertragenen Headers.
Rot und Gelb heben den verschlüsselten Namen und den übertragenen Header entsprechend hervor.
Abb. 10. Der verschlüsselte Name ist rot hervorgehoben, der übertragene Header gelb.
Vergleichen wir nun die verschlüsselten und entschlüsselten Namen in hexadezimaler Darstellung.
Struktur der entschlüsselten Daten:
- 78 B9 B8 2E – Müll, erzeugt durch das Tool (4 Bytes);
- 0C 00 00 00 – Länge des entschlüsselten Namens (12 Bytes);
- darauf folgt der eigentliche Dateiname und das Auffüllen mit Nullen bis zur benötigten Blocklänge (Padding).
Abb. 11. IMG_4114 sieht viel besser aus.
III. Fazit und Schlussfolgerung
Wir wissen nicht, was der Autor Wulfric als Motiv hatte und welches Ziel er verfolgte. Für den durchschnittlichen Nutzer stellt das Ergebnis einer solchen Ransomware sicher eine große Bedrohung dar. Dateien sind nicht mehr zugänglich. Alle Namen sind verschwunden. Anstelle des gewohnten Bildes erscheint ein Wolf auf dem Bildschirm. Man wird gezwungen, sich mit Bitcoin zu beschäftigen.
Allerdings versteckte sich hinter der Maske des „furchterregenden Encoders“ ein lächerlicher und sinnloser Versuch der Erpressung, bei dem der Täter auf fertige Programme zurückgriff und die Schlüssel direkt am Tatort ließ.
Übrigens, was die Schlüssel betrifft. Wir hatten kein bösartiges Skript oder einen Trojaner, mit dessen Hilfe wir nachvollziehen könnten, wie genau pass.key der Mechanismus zur Erstellung der Datei auf dem infizierten PC funktioniert. Aber ich erinnere mich, dass der Autor in seiner Notiz die Einzigartigkeit des Passworts erwähnte. Das Codewort zur Entschlüsselung ist ebenso einzigartig wie der Benutzername Schattenwolf 🙂
Und dennoch, Schattenwolf, warum und wieso?
Quelle: habr.com
